[NES2023] LG CNS가 제시하는 애플리케이션 현대화 보안, “코드 관점의 보안

실시간
뉴스

서비스

[NES2023] LG CNS가 제시하는 애플리케이션 현대화 보안, “코드 관점의 보안

디지털데일리 발행일 2023-04-21 13:54:11

이상일

URL복사

[디지털데일리 이상일기자] LG CNS가 안전한 클라우드 도입을 위해 프로젝트 단계별 보안과 신기술 영역인 애플리케이션 현대화(AM)까지 포괄하는 서비스를 제공하고 있다고 밝혔다.

19일 양재동 엘타워에서 개최된 ‘사라진 경계, ‘한국형 제로 트러스트’ 중심의 보안 혁신전략’을 주제로 한 차세대 기업보안 세미나 [NES 2023]에서 ‘클라우드와 AM 환경 변화에 따른 보안 대응 전략’을 발표한 LG CNS 한동훈 팀장은 “최근 기업의 애플리케이션 현대화가 확산되고 있는 상황에서 컨테이너, 서비스 매시(Service mesh) 등 새로운 기술들에 대한 이해를 기반으로 보호 대책 수립이 필요하다”고 설명했다.

IT 환경은 온프레미스에서 클라우드로, 이제는 AM 환경으로 급변하고 있다. 클라우드 환경에서는 클라우드 서비스 제공자(CSP)가 제공하는 인프라를 활용해 필요한 자원을 가상으로 생성하여 인프라부터 어플리케이션까지 손쉽게 생성할 수 있지만 이에 따른 보안 책임도 여전히 요구되고 있다.

특히 클라우드/AM 환경에서 보안을 제대로 적용하기 위해서는 프로젝트 사전 준비 단계부터 전 단계에 걸쳐 보안 활동이 수행되어야 한다. 한동훈 팀장은 “사전 준비 단계에서는 프로젝트에서 사용하는 기술에 따른 보안 관점의 제약 사항이 없는지 반드시 확인해야 한다”고 밝혔다.

실제 글로벌 Saas 업체의 경우 국내 컴플라이언스(compliance)를 충족하지 못하는 경우가 있는데 이를 사용하기 전 사전 준비 단계에서 검토가 되지 않으면 이후 단계에서 되돌리기 어려운 경우가 많다는 지적이다.

한 팀장은 “신규로 출시되는 서비스의 경우 해외 리전(Region)부터 오픈하는 경우가 많은데 해당 서비스를 반드시 사용하도록 기능을 개발할 경우 글로벌 컴플라이언스에 의거한 데이터 수출 제약을 고려하는 등의 조치가 필요하다”고 밝혔다.

프로젝트에 적용해야 할 맞춤형 클라우드 보안 아키텍처를 수립하고 이에 따른 가이드를 작성해 구축단계에서 인력에 따른 보안 품질 차이를 최소화하는 것도 중요하다는 지적이다.

▲대내외 컴플라이언스와 보안 기준 분석 ▲대상 아키텍처 분석 ▲클라우드 보안 아키텍처 수립을 통해 프로젝트별 맞춤형 클라우드 보안 아키텍처 수립과 매 프로젝트 마다 수립된 맞춤형 클라우드 보안 아키텍처를 이행할 수 있는 가이드 작성도 중요하다.

그는 “테스트 단계 에서는 클라우드/AM 환경에 대해 집중하다 보면 기존 온프레미스에서 점검했던 영역 등에 대한 누락이 발생할 수 있으므로 ‘누락 없는 점검’이 중요하다”며 “이행 단계에서는 클라우드 환경에서 발생되는 네이티브 로그에 대한 모니터링이 기존 보안 관제 체계에 포함되지 않을 수 있어 이에 대한 이상징후 모니터링이 추가로 관리될 수 있도록 해야 한다”고 강조했다.

한편 기업의 AM 확산이 빠르게 진행되는 가운데 AM을 위한 최신 기술에 대한 파악도 보안에 있어 중요하다는 설명이다.

한 팀장은 “AM 환경에서의 보안도 프로젝트 전단계에 걸친 보안을 고려해야 하지만, 이를 위해 AM 환경에서 사용되는 신기술에 대한 지식이 필요하다. 기존에는 물리적인 웹방화벽, 방화벽 장비를 사용했지만 클라우드 환경 전환에 따라 CSP에서 제공하는 서비스를 사용해야 해 클라우드에 대한 지식과 이에 특화된 보안요건이 필요하다”고 강조했다.

결국 AM 환경에서 보안은 “어떻게 접근할 것인가”에 대한 정의가 필요하다. 그리고 이는 마이크로서비스아키텍처(MSA) 보안과 ‘데브옵스섹’으로 대변되는 MSA 위에 구현되는 코드 관점에서의 보안이 필요하다는 설명이다.

한동훈 팀장은 “AM 보안은 AM을 구성하기 위한 아키텍처에 대한 보안(MSA 보안)과 AM의 실제 워크로드를 구현하는 코드에 대한 보안(DevSecOps)으로 나누어서 대응해야 한다. AM 환경에서도 분석·설계 단계에서 구현하려고 하는 서비스와 기술을 고려해 프로젝트에 적용해야 할 프로젝트 보안 요건을 식별하고 이를 AM/MSA 환경에 적용할 수 있는 수준으로 기술적으로 상세화한 요건을 도출해야 한다”고 강조했다.